SharePoint Gruppenmitgliedschaften ziehen nicht

Problem

Nachdem eine AD-Gruppe in SharePoint für den Zugriff berechtigt wurde, können Gruppenmitglieder auch nach erneuter Ab- und Anmeldung nicht auf die Site zugreifen. Die SharePoint Gruppenmitgliedschaften ziehen nicht.

Details

Bei der Anmeldung eines Benutzers an SharePoint wird mit Hilfe des Claims-To-Windows-Token-Service (C2WTS) eine Aussage über den Benutzer erstellt. Diese Aussage [4] wird von SharePoint dazu verwendet über Gruppenmitgliedschaften und daran geknüpfte Berechtigungen zu entscheiden [1].

Diese Aussagen (engl. Claims) werden zwischengespeichert, damit nicht für jeden Request der hinterlegte Authentifizierungsanbieter (in der Regel der Windows Token Service) befragt werden muss. Über PowerShell lassen sich die Zeiträume auslesen und bearbeiten, so dass Claims nicht zu lange zwischengespeichert werden [2,3].

Fix

Token Cache Dauer einstellen

1. Die Cachedauer lässt sich für jede einzelne Authentifizerungsmethode einstellen. In unserem Fall reicht:
   

   $TokenService = Get-SPSecurityTokenServiceConfig
   
   # TokenService Anzeigen
   $TokenService
   
   # LogonTokenCacheExpirationWindow Anzeigen
   $TokenService.LogonTokenCacheExpirationWindow
   # Setzen
   $TokenService.LogonTokenCacheExpirationWindow = (New-TimeSpan -second 30)
   
   # TokenService.WindowsTokenLifetime Anzeigen
   $TokenService.WindowsTokenLifetime
   # Setzen
   $TokenService.WindowsTokenLifetime = (New-TimeSpan -second 120)
   
   $TokenService.Update()

2. Anschließend müssen die IIS der Webfrontends neu gestartet werden.
   

   iisreset /noforce

   Links

1. http://blog.robgarrett.com/2013/05/06/sharepoint-authentication-and-session-management/
2. http://sharepoint.stackexchange.com/questions/56741/authorization-fails-when-using-active-directory-group-membership
3. http://sergeluca.wordpress.com/2013/07/06/sharepoint-2013-use-ag-groups-yes-butdont-forget-the-security-token-caching-logontokencacheexpirationwindow-and-windowstokenlifetime/
4. http://msdn.microsoft.com/en-us/library/sharepoint/ee535242.aspx

Der Beitrag SharePoint Gruppenmitgliedschaften ziehen nicht erschien zuerst auf SharePoint-Wiese.